PROCEDE ET DISPOSITIF DE CONFIGURATION DE PARE-FEU DANS 

UN SYSTEME INFORMATIQUE 

La presente invention concerne le domalne de pare-feu dans un 
systeme informatlque, et plus particulierement de la configuration de pare- 
feu. 

L'art anterieur 

Un pare-feu est une machine ou groupes de macliines permettant de 
securiser la jonction entre un reseau int6rleur et un reseau exterieur tel 
qu'lnternet centre des intrusions non autorisees, voire malveillantes. II est 
rappel6 qu'lnternet consiste en un ensemble de reseaux et machines 
interconnectes dans le monde entier, permettant a des utilisateurs des quatre 
coins de la terre de partager des informations. 

Le terme « machine » dans la presente description repr6sente une 
unite conceptuelle tr6s large, de nature materiel et/ou logiciel. Les machines 
peuvent etre tres diverses, telles que des stations de travail, serveurs, 
routeurs, machines sp6cialisees et passerelles entre reseaux. 

Tous les messages transitant entre le reseau int6rieur et exterieur 
doivent passer par le pare-feu qui examine chaque message et bloque ceux 
qui ne repondent pas ^ des regies de controle d'acces d^terminees. Le pare- 
feu est un element d'une politique globale de securite. int6gre dans un 
environnement applicatif de plus en plus riche et destine a proteger des 
ressources d'information. 

Les pare-feux sont utilises notamment pour empecher les utilisateurs 
d'Intemet non autorises d'acceder ^ des reseaux internes connect^s § 
Intemet, pour donner a un utilisateur d'un reseau inteme I'acces ^ Internet de 
maniere sure, pour s6parer les machines publiques d'une entreprise 
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permettant I'accfes a Internet de son reseau interne, pour realiser un 
cloisonnement a I'interieur d'un reseau donn6, pour proteger les segments 
de reseaux internes cloisonnes. 

5 Le pare-feu est materialis6 par exemple par une machine dediee qui 

controle I'acces aux diff§rentes machines d'un reseau int6rieur determine. 

Pour ce faire, le pare-feu contrdle quelles machines et/ou quels 
utilisateurs et/ou quels services ou applications d'un reseau int6rieur peuvent 
10 acc6der a quelle machine et/ou quels utilisateurs et/ou quels services ou 
applications d'un reseau exterieur et inversement. 

Les machines appartenant au reseau Internet utilisent le protocole 
TCP/IP. Le pare-feu effectue des filtrages des communications TCP/IP. Le 
1 5 pare-feu manipule des donnees applicatives, informations transmises dans la 
partie reservee aux donnees dans les en-tetes des datagrammes TCP/IP. 



La complexity de configuration de pare-feu est illustr6e par I'exemple 
suivant, auquel peuvent etre ramenees la plupart des architectures de 
25 cloisonnement dans les reseaux d'entreprises. 

On considere le cas d'un reseau d'entreprise comprenant n pare-feu 
denommes NWi, .... NWn connectes a des sous-reseaux. 



20 



Les criteres de filtrage sont par exemple de mani^re non limitative : 

• I'adresse appelante, 

• I'adresse appelee, 

• I'application appelee. 



30 



On souhaite appliquer une politique de s6curit§ selon laquelle sur 
chaque sous-r6seau CCi, une station de travail (poste client) C, est autorisee 
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a acceder a un serveur Si situe sur un sous-reseau SSi. Les sous-reseaux 
CCi et SSi sont reli6s ^ un unique et meme pare-feu NWi. 

Ce cas de figure peut bien evidennment etre etendu au cas de 
plusieurs stations de travail, autorisees a acceder a plusieurs serveurs. 

Avec les syst6mes de configuration de pare-feu classiques, les 
administrateurs operent de deux manieres : 

• Definir deux groupes contenant respectivement les stations de 
travail et les serveurs. Definir ensulte une regie autorisant I'acces du groupe 
des stations de travail vers le groupe des serveurs. Cette maniere de 
proceder permet d'autoriser en une seule r6gle I'acces de chaque station au 
serveur connecte au meme pare-feu (Ci -> Si), mais autorise egalement 
I'acces des stations a tous les autres serveurs connectes ^ d'autres pare-feu 
NWj (Ci -> Sj). Ce n'est pas la politique de securit6 souhait§e. 

• Definir sur chaque pare-feu les regies specifiques autorisant un a un 
les acces de chaque station de travail au serveur qui lui correspond. Cette 
maniere de proceder est tres vite fastidieuse, voire difficile a mettre en 
pratique, lorsque le nombre de pare-feu augmente, voire le nombre de 
stations, ou le nombre de serveurs. 

La simplification de la configuration est un objectif prioritaire d'un 
administrateur de pare-feu. 

Les solutions courantes connues pour tenter de r6soudre le probleme 
de complexite de configuration sont les suivantes. 



On connaTt un systeme commercialise sous I'appellation Net 
Partitioner et produit par la Societe Solsoft. 
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Le dispositif Net Partitioner permet ^ I'administrateur de repr^senter 
graphiquement I'ensemble de son reseau, avec Timplantation des pare-feu, 
ainsi que des differents serveurs et des stations de travail qui en font partie. 
Les machines sont representees par des icones et leur interconnexion par 
5 des traits les reliant. 

L'administrateur d^finit egalement sous forme de fleches la maniere 
dont les machines peuvent acceder a d'autres machines et aux applications 
qu'elles hebergent. 
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Cette solution permet de definir des groupes d'ordinateurs, ainsi que 
des regies de controle d'acces entre ces groupes. En revanche, les regies 
definissent I'acc^s de tous les elements d'un groupe vers tous les elements 
d'un autre groupe, ce qui alourdit la procedure de configuration. 



La description du systeme (a savoir ['ensemble des machines 
pr^sentes sous forme d'icones et leur interconnexion sous forme de traits) et 
la specification des regies appliquees au systeme et representees sous 
forme de fleches sont combin6es sur une meme interface graphique. Plus le 
20 systeme comprend de machines et plus les connexions entre ces machines 
sont nombreuses, plus il est difficile pour l'administrateur de d^crire le 
systeme ^ partir de ['interface. 

Par ailleurs, le dispositif Net Partitioner ne pr6voit aucun transfert des 
25 regies depuis ledit dispositif vers les pare-feu concemes et aucune prise en 
compte de la nouvelle politique de s6curit§. L'administrateur doit lui-m§me 
configurer chacun des pare-feu a partir des r^sultats procures par le 
dispositif Net Partitioner. 

30 Cette solution ne permet done pas de simplifier la procedure de 

configuration. 
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Un but de la pr6sente invention est de simplifier la configuration d'un 
grand nombre de pare-feu. 

Resume de Tinvention 

5 

Dans ce contexte, la presente invention propose un proc6de de 
configuration de pare-feu dans un systfeme informatique comportant des 
objets, les objets pour lesquels une politique de controle d'acces est mise en 
place 6tant appeles des ressources, caract6rise en ce qu'il regroupe les 

10 objets du syst^me par domaine de protection, chaque pare-feu assurant la 
protection d'un domaine interieur par rapport ^ un domaine exterieur et 
applique au pare-feu concerne une regie de controle d'acces entre une 
ressource d'origine et une ressource de destination uniquement si lesdites 
ressources d'origine et de destination appartiennent au meme domaine ou 

15 de protection. 

La presente invention concerne egalement le systeme de mise en 
oeuvre dudit proc6d6. 

20 Presentation des figures 

D'autres caracteristiques et avantages de I'invention apparaitront a la 
lumiere de la description qui suit, donn§e ^ titre d'exemple illustratif et non 
limitatif de la presente invention, en r6f6rence aux dessins annexes dans 
25 lesquels: 

•la figure 1 est une vue schematique du systdme selon une forme de 
realisation de I'invention ; 

•la figure 2 est une copie d'ecran d'une interface graphique pr6sentant 
30 des pare-feu du syst§me selon la figure 1 et a leurs propri6t6s ; 

•la figure 3 est une copie d'6cran d'une interface graphique presentant 
des groupes de machines du systeme selon la figure 1 ; 
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•la figure 4 est une copie d'6cran d'une interface graphique presentant 
des regies de controle d'acces dans le syst^me selon la figure 1 . 

Description d'une forme de realisation de I'inventlon 

Comme le montrent les figures 1 d 4, la pr§sente invention se rapporte 
^ un proc6d6 de configuration de pare-feu 1 dans un systeme informatique 2. 

Le systeme informatique 2 est distribue et comprend des objets 3, des 
utilisateurs et les pare-feu 1. Un objet 3 est une unite conceptuelle tres large, 
de nature mat^rielle et/ou logicielle. Les objets 3 peuvent etre tres divers, tels 
que des reseaux, des sous-reseaux, des stations de travail, des serveurs, 
des routeurs, des machines specialisees et passerelles entre reseaux, des 
applications. Seuls les composants des objets 3 du systdme 2 
caracteristiques de la pr§sente invention seront decrits, les autres 
composants etant connus de I'homme du metier. Les objets 3 entre lesquels 
des regies de contr6le d'acces constituant la politique de s6curit6 du systeme 
2 sont definies, sont appeles ressources 4. 

Comme represents sur la figure 1, les pare-feu 1 assurent la 
protection d'un domaine interieur 5 (D1, D2, D3) par rapport a un domaine 
ext6rieur 6 (dorsal, en anglais backbone). Un administrateur 7 d6finit pour 
chaque pare-feu 1 le domaine interieur 5 constituant le domaine de 
protection du pare-feu. Le domaine de protection du pare-feu repr6sente ce 
que I'administrateur souhaite proteger a I'aide dudit pare-feu par rapport a ce 
dont il veut le proteger, a savoir le domaine exterieur. 

Chacun des deux domaines de protection 5 et exterieur 6 est constituS 
de zones 8 comportant un ou plusieurs reseaux ou sous-reseaux 9 de 
machines. Une zone 8 est une partie du systeme 2 separe du reste de celui- 
ci par un ou plusieurs pare-feu. Les zones 8 sont connect6es au pare-feu 1 
concern^ par plusieurs interfaces reseaux 10. L'administrateur 7 determine 



pour chaque zone 8 raccord^e a chaque pare-feu, si la zone 8 est a 
I'interieur du domaine 5 de protection du pare-feu (zone int6rieure) ou si elle 
est a I'exterieur (zone exterleure), c'est ^ dire si elle est directement protegee 
par le pare-feu ou s'il s'agit d'une zone assurant la liaison entre les pare-feu, 
ou ce qui est Equivalent, entre les differents domaines de protection. 

Dans I'exemple de forme de realisation illustre sur la figure 1, chaque 
domaine 5 de protection. D1, D2, D3 est controle par un pare-feu 1 
respectivement NW1, NW2. NWS. Chacun des pare-feu NW1. NW2, NWS 
est connecte ^ une zone 8 comprenant un sous-r6seau 11 interne 
respectivement h, b, I3 et a une zone 8 comportant un sous-reseau 12 de 
type « zone d6militaris6e » respectivement DMZi, DMZz. DMZ3. Les sous- 
reseaux 1 1 et 12 sont ^ rint6rieur du domaine 5 de protection. 

Un sous-reseau de type « zone demilitaris6e » est un sous-reseau 
tampon, realisant une sorte de sas entre un reseau interne et externe pour 
en renforcer la protection. 

Chaque pare-feu 1 est reli§ ^ une zone 8 du domaine 6 ext6rieur, 
comportant un reseau 13 dit reseau dorsal. La zone 8 du domaine 6 ext6rieur 
comprenant le reseau IS est appelee zone dorsale. La zone 8 dorsale 
constitue la liaison du domaine interieur 5 avec le reste du reseau concerne, 
et repr6sente rext6rieur par rapport au domaine 5 consid6r6. 

Selon un developpement de ['invention, la zone 8 dorsale comprend 
une machine 14 de configuration centrale d partir de laquelle la configuration 
globale du syst^me 2 est effectuee. La configuration globale du systeme 2 
peut etre r6alisee par exemple de la maniere explicitee dans la demande de 
brevet deposee par le present deposant le meme jour que la pr6sente 
demande et dont le titre est « Precede et dispositif de configuration 
centralisee de pare-feu dans un systeme informatique ». La machine 14 de 
configuration centrale offre une interface 15 graphique permettant a 
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I'administrateur 7 de r6aliser ladite configuration. L'interface 15 graphique est 
illustree sur les figures 1 a 4. 

La presents invention est d6crite dans ce qui suit dans la forme de 
realisation du systeme illustre sur les figures 1 a 4 consistant en une 
configuration centrale des pare-feu. Le proc6d6 selon I'Invention decrit pour 
ladite forme de realisation est susceptible d'§tre appliqu6 a un pare-feu isole 
sans configuration centrale. 

Dans la forme de realisation illustre sur la figure 2, I'administrateur 
saisit la definition des pare-feu 1, des domaines 5, 6 et des interfaces 
reseaux 10 au travers de l'interface 15 graphique. L'ecran de l'interface 15 
est divise en trois fenetres : une fen§tre 16 d'objets a gauche de l'ecran de la 
machine 14, une fenetre 17 d'attributs a droite de l'ecran de la machine 14., 
une fenetre 18 de regies en bas de l'ecran. Dans la fenetre 16 d'objets, 
lorsqu'un onglet 19 « Netwalls » est selectionne, tous les pare-feu NW1, 
NW2, NWS du systeme 2 sont indiques. Dans la fenetre 17 d'attributs, 
lorsqu'un onglet 20 « Properties » est selectionne. les proprietes du pare-feu 
surligne dans la partie gauche (ici NW1) sont pr^cisees dans un tableau 21 
de zones. 

L'administrateur definit les propri6tes des pare-feu 1 de la maniere 
suivante. Le pare-feu NW1 dispose de trois interfaces reseaux 10 
mentionn6es dans la colonne 22 « Name » avec des zones 8 Indiqu6es dans 
la colonne 23 « Zone » : une interface reseau NW1 avec la zone du sous- 
reseau II, une interface r6seau NW1_dmz avec la zone du sous-reseau 
DMZi et une interface r6seau NW1_dorsale avec la zone dorsale. Les 
proprietes sont similaires pour les pare-feu NW2 et NW3. Une colonne 24 
« Address » du tableau 21 indique les adresses des interfaces r6seau, dont 
la designation est situ6e sur la m§me ligne. 
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Une colonne 25 « Is External » du tableau 21 de zones permet de 
specifier pour chaque interface r6seau 10 si ladite interface reseau est 
attachee ^ une zone 8 ext6rieure au donnaine 5 de protection (valeur 
« true ») ou int6rieure au domaine de protection (valeur « false »). 

Dans I'exemple considere, les interfaces reseaux NW1_dmz et NW1 
sont attachees a des zones 8 int6rieures (sous-reseaux DMZi, h) au 
domaine 5 de protection, alors que I'interface reseau NW1_dorsale est 
exterieure (reseau dorsal) au donaaine de protection (configuration similaire 
pour les pare-feu NW2 et NW3). 

Chaque pare-feu assure les centrales d'acces a la fois des 
communications entre les domaines 5 et des communications entre les 
zones 8 a Tinterieur du domaine 5 dont il est responsable. Une partie de la 
politique de securite concerne le controle des acc§s entre les domaines ; une 
autre partie de la politique de s6curit6 concerne le controle des acces entre 
des zones a I'interieur du domaine de contrSle du pare-feu. 

L'invention consiste a definir une operation de factorisation des regies 
de controle d'acces constituant la politique de contr6le d'acces dans le but de 
minimiser le nombre de regies de filtrage ^ declarer par I'administrateur. 

Pour ce faire, I'administrateur 7 reunit au sein de memes groupes les 
objets 3 du systeme 2 (dans I'exemple illustr6, des stations de travail et 
serveurs) pour lesquels une meme politique de s6curit6 est appliquee. Dans 
I'exemple illustre sur la figure 1, des stations de travail 26 Ci, C2, C3 font 
partie integrante des sous-reseaux internes respectivement U, I2, h ; des 
serveurs 27 Si, S2, S3 appartiennent respectivement aux sous-reseaux 
DMZi, DMZ2, DMZ3. Le domaine D1 rassemble la zone comprenant le sous- 
reseau interne 11 avec la station de travail CI et la zone comprenant le sous- 
r6seau DMZI avec le serveur SI. Dans I'exemple illustr^, une seule station 
de travail appartient au sous-reseau interne II : le sous-reseau 11 aurait pu 
contenir plusieurs stations de travail, C11. C12, C13 Clk et/ou tout autre 
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type de machines. De meme, le sous-r6seau DMZ1 aurait pu contenir 

plusieurs serveurs, S11. S12, S13 Sim et/ou tout autre type de 

machines. Le m§me ralsonnement est applicable aux autres domaines et 
zones. 

L'administrateur 7 peut, a titre illustratif, r6unir dans un groupe de 
stations de travail 26 les machines Ci, Ca. C3 et dans un groupe de serveurs 
27 les machines Si, S2, S3. 

L'Invention consiste a declarer entre les types de groupes d6finis par 
l'administrateur des regies de controle d'acces de portee limit^e d chaque 
pare-feu ou etendue au systeme 2. L'administrateur specifie pour les regies 
de controle d'acces, si la portee est locale au pare-feu ou globale. 

Une regie de portee locale d6finit des relations d'acces entre des 
ressources 4 de deux groupes, lesdites ressources appartenant a un meme 
domaine 5 de protection. La portee locale permet de restreindre la regie a 
des acc^s interieurs au domaine 5 de protection. 

Dans I'exemple mentionne plus haut, une regie de portee locale d6finit 
une relation d'acc6s du groupe (Ci, Cn) vers le groupe (Si, .... Sn) en 
mettant en jeu un acces depuis la ressource Cj vers la ressource Si, sans 
etablir de relation de C, vers Sj, avec j different de i. Dans le cas de plusieurs 
stations de travail et serveurs comme vu plus haut, le principe est le meme : 

la regie de portee locale d6finit une relation d'acces du groupe (Cii,Ci2 

CiK .... Cni.Cn2...) vers le groupe (Sii,Si2, Sim. ■■, Sni,Sn2-. ) en mettant 
en jeu un acces depuis la ressource Cik vers la ressource Sim, sans etablir de 
relation de Cik vers Sjm, avec j different de i et quelque soit k et m. 

Une regie de port6e globale definit les relations d'accds possibles 
entre deux groupes dans le syst6me 2 dans son entier. 
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Une regie de port6e globale est conservee et toujours utilisable par 
I'administrateur pour traiter les cas g6neraux de la politique de securite. Les 

regies de portee globale r^gissent les relations d'acc^s du groupe (Ci 

Cn) vers le groupe (Si Sn) et 6tablissent toutes les relations de Cj vers Sj, 

pour i et j variant de 1 a n. Dans le cas de plusieurs stations de travail et 
serveurs comme vu plus haut, la r§gle de port§e globale d§finit une relation 
d'accds du groupe (C11.C12, .... Cik .., Cni. Cn2 -) vers le groupe (Sn.Sia, . .. 
Sim, .... Sni. Sn2-) ©n mettant en jeu un acces depuis la ressource dk vers la 
ressource Sim. quelque soit i, j, k et m. 

L'attribut de portee « locale » ou « globale » de chaque r^gle est 
attache a chaque r6gle, de telle maniere que chaque pare-feu a 
individuellement la connaissance de la portee des regies. 

15 Dans la forme de realisation illustree sur les figures 3 et 4, 

I'administrateur souhaite mettre en ceuvre une politique de controle d'acces 
selon laquelle les ressources de chaque sous-reseau interne Ij (i variant ici 
de 1 a 3) de chaque domaine 5 de protection peuvent acceder aux 
ressources du sous-reseau DMZj (i variant ici de 1 a 3) du meme domaine 5 

20 de protection, sans autoriser I'acces entre un sous-r6seau V, interne d'un 
domaine donne et le sous-reseau DMZj, avec j different de i, d'un autre 
domaine (par exemple, acces entre le sous-r6seau I1 et le sous-r6seau 
DMZ2). 



25 Comme le montre la figure 3, I'administrateur regroupe ^ I'aide de 

['interface 15 graphique les zones des sous-reseaux internes h, I2, b dans le 
groupe des sous-r6seaux internes G_l et les zones des sous-reseaux DMZi, 
DMZ2. DMZ3 dans le groupe G_DMZ. Dans la fenetre 16 d'objets, un onglet 
28 « Ressources » 6tant selectlonn6, il est indique que le groupe G_DMZ 

30 comprend ANY_DMZi, ANY_DMZ2, ANY_DMZ3, a savoir I'ensemble des 
objets des sous-r6seaux DMZi, DMZ2, DMZ3. 
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L'administrateur definit ensuite dans la fenetre 18 de regies les regies 
de portee locale ou globale. Dans I'exemple illustre sur la figure 4, un tableau 
29 de regies dans la fenetre 18 de regies permettant de definir les regies est 
affiche dans la fenetre 17 d'attributs lorsqu'un onglet 30 « Rules » est 
selectionne. La fenetre 17 d'attributs montre que l'administrateur a d6fini ^ 
I'aide du tableau 29 de la fen§tre 18 une r§gle de portee « locale » autorisant 
I'acces depuis le groupe GJ vers le groupe G_DMZ, la regie ainsi definie 
etant affichee dans le tableau 29 de la fen§tre 17 d'attributs. 

Le tableau 29 de regies comprend une colonne 31 « Name » pour 
identifier la regie de controle d'acc6s, une colonne 32 « Source » pour 
designer le groupe d'origine de la regie, une colonne 33 « Destination » pour 
designer le groupe destination de la regie. 

La portee de la regie est definie dans une colonne 34 « Scope » et 
peut prendre les valeurs « LOCAL » pour une portee locale ou « GLOBAL » 
pour une portee globale. Dans I'exemple illustr6, la portee de la r^gle prend 
la valeur par defaut « GLOBAL ». 

Le precede selon la presente invention op6re de la maniere suivante : 

Au moment ou le pare-feu effectue le controle d'acces (par exemple 
lors d'une tentative d'6tablissement de connexion), le pare-feu 1 analyse 
I'attribut de port6e de la rdgle r^gissant le controle de I'acces en cours. 

Si la r6gle est de port6e globale, elle est appllquee sans controle 
supplementaire : I'acces est autoris6 ou rejete en fonction de la consigne 
donnee par la regie. II s'agit d'un fonctionnement standard de pare-feu. 

Si la port6e de la r6gle est locale, le pare-feu determine les interfaces 
reseaux 10 d'entr6e et de sortie du trafic en cours de traitement et analyse si 
ces interfaces reseaux sont attachees au domaine 5 interieur ou 6 exterieur. 
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Si les deux interfaces reseaux 10 d'entr6e et de sortie sont attachees 
au domaine 5 interieur, le trafic en cours de traitement reste d I'interieur du 
domaine 5 de protection du pare-feu : la regie est alors appliqu6e et I'acces 
est autoris§ ou rejet6 en fonction de la consigne donnee par ladite r§gle. 

Si I'une des deux interfaces reseaux 10 est attachee au domaine 6 
exterieur, le trafic en cours de traitement n'est pas interne au domaine 5 de 
protection du pare-feu : la r^gle en question n'est pas applicable pour le profil 
de trafic en cours de traitement. 

Dans I'exemple illustre, aucun pare-feu reliant les domaines D1, D2, 
D3 entre eux n'est pr6vu. L'invention ne s'interesse pas aux domaines de 
liaison. Les interfaces associ6es aux domaines de liaison sont 
automatiquement attach6es ^ un domaine externe, a savoir que la colonne 
« Is External » prend la valeur true. 

Dans I'exemple illustre sur les figures 2 ^ 5. le precede opere de la 
maniere suivante. 

Lors d'un acc6s depuis le sous-reseau h vers le sous-r6seau DMZi, le 
pare-feu NWi determine que le trafic entre par I'interface r6seau 10 NWi et 
ressort par I'interface r6seau 10 NWi_dmz. Lesdites interfaces r6seau NWi 
et NWi_dmz sont d6clar6es interieures au domaine de protection du pare- 
feu en question. Le pare-feu NWi autorise I'acces. Le mecanisme est 
similaire pour des acc6s du sous-reseau h vers DMZ2, au travers de NW2, et 
de I3 vers DMZ3, au travers de NW3. 

Lors d'un acces du sous-reseau I1 vers le sous-r§seau DMZ2, le pare- 
feu NWi determine que le trafic entre par I'interface r6seau NWi et ressort 
par I'interface r6seau NWi_dorsale. La premiere interface r6seau NWi est 
declaree interieure au domaine 5 de protection, alors que la seconde 
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NWi_dorsale est declaree exterieure au domaine 5 de protection. Le trafic 
n'est pas limite au domaine 5 de protection et la pare-feu NW1 n'autorise pas 
I'acces. 

5 De la meme mani^re, le pare-feu NW2 detecte que le trafic en cause 

entre par I'interface reseau NW2_dorsale et ressort par ['interface reseau 
NW2_dmz. L'interface reseau NW2_dorsale est attachee a un sous-reseau 
exterieur au domaine de protection ; le trafic n'est pas limits au domaine de 
protection du pare-feu NW2 et est bloque par ce dernier. 

10 

La pr6sente invention concerne le precede de configuration de pare- 
feu 1 dans un systeme 2 informatique comportant des objets 3, les objets 3 
pour lesquels une politique de controle d'acces est mise en place 6tant 
appel6s des ressources 4, caract6rise en ce qu'il regroupe les objets 3 du 

15 systeme par domaine 5, 6 de protection, chaque pare-feu 1 assurant la 
protection d'un domaine interieur 5 par rapport a un domaine 6 exterieur et 
applique au pare-feu concerne une regie de contrdle d'acces entre une 
ressource 4 d'origine et une ressource de destination uniquement si lesdites 
ressources d'origine et de destination appartiennent au meme domaine 5 ou 

20 6 de protection. 

Le precede determine le domaine de protection des ressources 4 au 
moyen des interfaces reseau 10 du pare-feu concern^, interfaces par 
lesquels passent les communications pour parvenir aux dites ressources. 

25 

Le procede d6finit les zones 8 comportant des reseaux ou sous- 
reseaux ; il associe les interfaces r6seaux 10 des pare-feu auxquels lesdites 
zones sont connectees d un domaine interieur ou exterieur ; il determine les 
interfaces reseaux 10 d'entree et de sortie du trafic en cours de traitement ; il 
30 analyse si lesdites interfaces reseaux sont attach6es a un domaine interieur 
ou exterieur ; il applique la regie uniquement si les deux interfaces reseaux 
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sont attach6es au meme domaine 5 interieur ce qui correspond au fait que 
les ressources appartiennent au meme domaine de protection. 

Le precede constitue les groupes d'objets 3 pour lesquels la politique 
5 de controle d'acces est identique et applique la regie entre chacune des 
ressources d'un groupe d'origine et d'un groupe de destination. 

Le precede caracterise la regie par une portee locale ou globale et il 
applique la regie aux ressources concernees uniquement si lesdites 
10 ressources appartiennent au meme domaine 5 ou 6 de protection lorsque la 
portee de la r^gle est locale, applique la regie a toutes les ressources 
concernees lorsque la portee de la regie est globale. 

La pr6sente invention concerne 6galement le dispositif permettant la 
1 5 mise en oeuvre du precede decrit ci-dessus. 

Le pr§sente invention se rapporte egalement au dispositif de 
configuration de pare-feu 1 dans le syst§me 2 infomatique caracteris6 en ce 
qu'il comprend la machine 14 de configuration centrale permettant de 

20 regrouper les objets 3 du systeme par domaine de protection, chaque pare- 
feu 1 assurant la protection d'un domaine interieur 5 par rapport a un 
domaine 6 exterieur et d'appliquer au pare-feu concern^ une regie de 
controle d'acces entre une ressource 4 d'origine et une ressource de 
destination uniquement si lesdites ressources d'origine et de destination 

25 appartiennent au m§me domaine 5 ou 6 de protection. 

Le dispositif comprend I'interface 15 graphique a partir de laquelle un 
administrateur 7 est susceptible de saisir les domaines 5 et 6 de protection et 
les regies de controle d'acces. 

30 

L'interface graphique permet a I'administrateur 7 de d6finir une portee 
a la regie de controle d'acces locale ou globale, et la machine 14 applique la 
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regie aux ressources concernees uniquement si lesdites ressources 
appartiennent au meme domaine 5 ou 6 de protection lorsque la port§e de la 
regie est locale, et applique la r6gle d toutes les ressources concern6es 
lorsque la port6e de la regie est globale. 



# 
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REVENDICATIONS 



1. Precede de configuration de pare-feu (1) dans un systeme (2) 
5 informatique comportant des objets (3), les objets (3) pour lesquels une 

politique de controle d'acces est mise en place §tant appel6s des ressources 
(4). caracteris6 en ce qu'il regroupe les objets (3) du systeme par domaine 
(6. 6) de protection, chaque pare-feu (1) assurant la protection d'un domaine 
interieur (5) par rapport a un domaine (6) exterieur et applique au pare-feu 
10 conceme une regie de controle d'acces entre une ressource (4) d'origine et 
une ressource de destination uniquement si lesdites ressources d'origine et 
de destination appartiennent au m§me domaine (5) ou (6) de protection. 

2. Proced6 selon la revendication 1, caracterise en ce qu'il determine le 
15 domaine de protection des ressources (4) au moyen des interfaces reseau 

(10) du pare-feu concerne, interfaces par lesquels passent les 
communications pour parvenir aux dites ressources. 

3. Proc6de selon la revendication 2, caract6rise en ce quMI definit des zones 
20 (8) comportant des r6seaux ou sous-reseaux. en ce qu'il associe les 

interfaces reseaux (10) des pare-feu auxquels lesdites zones sont 
connect6es a un domaine interieur ou exterieur. en ce qu'il determine les 
interfaces reseaux (10) d'entree et de sortie du trafic en cours de traitement, 
en ce qu'il analyse si lesdites interfaces reseaux sont attachees ^ un 
25 domaine interieur ou exterieur, et en ce qu'il applique la regie uniquement si 
les deux interfaces reseaux sont attachees au meme domaine (5) interieur ce 
qui correspond au fait que les ressources appartiennent au meme domaine 
de protection. 



30 



4. Precede selon I'une des revendications 1 a 3. caracterise en ce qu'il 
constitue des groupes d'objets (3) pour lesquels la politique de controle 
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d'acces est identique et applique la regie entre chacune des ressources d'un 
groupe d'origine et d'un groupe de destination, 

5. Precede selon Tune des revendications 1 a 4, caracterise en ce qu'il 
caracterise la regie par une portee locale ou globale, en ce quil applique la 
regie aux ressources concernees uniquement si lesdites ressources 
appartiennent au meme domaine (5) ou (6) de protection iorsque la portee de 
la regie est locale, et en ce qu1i applique la regie a toutes ies ressources 
concernees Iorsque la portee de la regie est globaie. 

6. Dispositif permettant la mise en oeuvre du precede selon Tune des 
revendications 1 a 5. 



7. Dispositif de configuration de pare-feu (1) dans un systeme (2) 
15 informatique comportant des objets (3), Ies objets (3) pour lesquels une 
politique de controle d'acces est mise en place etant appeies des ressources 
(4), caracterise en ce qu'ii comprend une machine (14) de configuration 
centraie permettant de regrouper Ies objets (3) du systeme par domaine de 
protection, chaque pare-feu (1) assurant la protection d'un domaine interieur 
20 (5) par rapport a un domaine (6) exterieur et d'appiiquer au pare-feu 
concerne une regie de controie d'acces entre une ressource (4) d'origine et 
une ressource de destination uniquement si lesdites ressources d'origine et 
de destination appartiennent au meme domaine (5) ou (6) de protection. 



25 8. Dispositif selon ia revendication 7, caracterise en ce qu'il comprend une 
interface (15) grapliique a partir de laqueiie un administrateur (7) est 
susceptible de saisir ies domaines (5) et (6) de protection et ies regies de 
controie d'acces. 
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9. Dispositif seion i'une des revendications 7 ou 8, caracterise en ce 
i'interface graphique permet a Tadministrateur (7) de definir une portee ^ la 
regie de controie d'acces locale oij globale, et en ce que la machine (14) 
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applique la regie aux ressources concern6es uniquement si lesdites 
ressources appartiennent au meme domaine (5) ou (6) de protection lorsque 
la portee de la regie est locale, et applique la regie a toutes les ressources 
concern6es lorsque la port6e de la r6gle est globale. 

10. Module iogiciel permettant la mise en ceuvre du precede selon Tune des 
revendications 1 a 5. 
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ABREGE DESCRIPTIF 



La presente invention concerne un proced6 de configuration de pare- 
feu (1) dans un systems (2) informatique comportant des objets (3), les 

5 objets (3) pour lesquels une politique de controle d'acces est mise en place 
etant appel^s des ressources (4). Le precede regroupe les objets (3) du 
systeme par domaine de protection, chaque pare-feu (1) assurant la 
protection d'un domaine interieur (5) par rapport ^ un domaine (6) exterieur 
et applique au pare-feu concerne une regie de controle d'acces entre des 

10 ressources (4) uniquement si lesdites ressources appartiennent au m§me 
domaine (5) ou (6) de protection. 

La presente invention concerne 6galement le dispositif de mise en 
oeuvre dudit precede. 
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Figure de I'abrege : Figure 1 
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